Как да предотвратим достъпа до командния ред за конкретни потребители

Понякога може да искате да попречите на конкретен потребител да отваря прозореца на командния ред (cmd.exe) поради редица основателни причини. Тази статия обяснява как да попречите на конкретни потребители да отварят командния ред или да изпълняват пакетни файлове на Windows.

Предотвратяване на достъпа до командния ред за конкретни потребители

Заключването на командния ред може да се извърши с помощта на NTFS разрешения, чрез добавяне на a Отричайте Въвеждане на разрешение (към cmd.exe) за конкретен потребител или група. Това може да стане с помощта на вградения конзолен инструмент icacls.exe или диалоговия прозорец Разширени настройки за защита.

Метод 1: Използване на помощната програма за командния ред ICacls.exe

От ан повишен или администраторски команден ред прозорец и изпълнете тези команди:

takeown /f cmd.exe. icacls cmd.exe /deny ramesh: RX

.. където „ramesh“ е потребителското име, на което искате да предотвратите достъп до cmd.exe. За повече информация относно командите takeown.exe и icacls.exe, вижте статията

Поемете собствеността върху файл или папка с помощта на командния ред в Windows.

---

Метод 2: Използване на диалоговия прозорец за разширени разрешения

1. Отвори C:\Windows\System32 папка.
2. Щракнете с десния бутон на мишката върху cmd.exe и щракнете върху Свойства. Алтернативно щракнете върху Имоти бутон в лентата.
   
3. Изберете раздела Защита в диалоговия прозорец със свойства на файла и щракнете върху бутона Разширени. Това отваря диалоговия прозорец Разширени настройки за сигурност.
   
4. По подразбиране Доверен инсталатор притежава cmd.exe. Щракнете върху „Промяна“, за да промените собствеността на файла.
   
5. Въведете „Администратори“ и натиснете ENTER.
   
6. Ще видите следното съобщение. Просто затворете диалоговия прозорец Разширени разрешения и го отворете отново.

   Ако току-що сте поели собственост върху този обект, ще трябва да затворите и отворите отново свойствата на този обект, преди да можете да преглеждате или променяте разрешенията.

7. Групата администратори вече е собственик на файла. Вече можете да добавяте записи за разрешения, както е необходимо. Щракнете върху Промяна на разрешенията, което сега ще се промени на Добавете.
   
8. Щракнете върху Добавете
   
   
9. Щракнете върху Изберете директор
10. Въведете потребителското име (напр. ramesh) и щракнете върху OK.
    
11. От Тип диалогов прозорец, изберете Отричайте
    
    
12. Активирайте квадратчетата за отметка за Прочети, Прочетете и изпълнетеи щракнете върху OK.

    Ето как сега ще изглежда диалоговият прозорец Разширени настройки за сигурност:
    

13. В диалоговия прозорец Разширени настройки за защита щракнете върху OK. Ще видите следните съобщения. Щракнете върху да за да продължите.

    Задавате запис за отказване на разрешения. Отказът на записите е с предимство пред разрешаването. Това означава, че ако потребител е член на две групи, едната, на която е разрешено разрешение, а другата, на която е отказано същото разрешение, на потребителя е отказано това разрешение. Искаш ли да продължиш? На път сте да промените настройките за разрешения за системни папки. Това може да намали сигурността на вашия компютър и да накара потребителите да имат проблеми с достъпа до файлове. Искаш ли да продължиш?

Тествайте дали работи

За да проверите дали блокът работи, използвайте Run As (или runas.exe), за да стартирате cmd.exe като този конкретен потребител.

runas /user: ramesh c:\windows\system32\cmd.exe

Това ще доведе до следната грешка:

Не може да се стартира - cmd.exe → 5: Достъпът е отказан

Или просто влезте в този потребителски акаунт и опитайте да стартирате cmd.exe. Потребителят "ramesh" няма да може да прочете или изпълни файла.

Това е всичко. Вече сте деактивирали достъпа до командния ред (cmd.exe) за този конкретен потребител.